Capcom bekrefter at hackere har brutt seg inn i selskapets medlemsløsning CAPCOM ID. Datainnbruddet omfatter e-postadresser og tilknyttede opplysninger fra mer enn 11,7 millioner kunder.

Opplysningene som er eksponert, inkluderer dato for kontoopprettelse, tidspunkt for siste innlogging, antall innlogginger og IP-adressen som ble brukt ved siste innlogging.

For en mindre gruppe på 43 kontoer ble også fødselsdato, kjønn, kallenavn og land eksponert. På ytterligere 196 kontoer endret hackerne innloggingspassordene, tilsynelatende for å stenge eierne ute. Capcom har tilbakestilt disse passordene.

Passord og kredittkort skal ikke være berørt

I en melding opplyser Capcom at passordene til alle andre registrerte medlemmer ikke er eksponert. Kredittkortinformasjon skal heller ikke være berørt.

CAPCOM ID er selskapets felles kontosystem for tilgang til nettjenestene deres og enkelte av selskapets nettspill. Capcom står blant annet bak spillseriene Resident Evil, Monster Hunter, Street Fighter og Mega Man. Selskapet har 4.000 ansatte og en årlig omsetning på 1,24 milliarder dollar.

Oppdaget mistenkelig aktivitet 19. oktober

Det er fortsatt uklart når selve innbruddet fant sted. Capcom opplyser at selskapet oppdaget mistenkelig aktivitet og bekreftet uautorisert tilgang 19. oktober.

En etterforskning ble satt i gang umiddelbart. Dagen etter var det klart at kundeinformasjon var kommet på avveie. 21. oktober meldte Capcom hendelsen til politiet og Japans personvernmyndighet, Personal Information Protection Commission.

Selskapet sier at nettjenestene fortsatt fungerer som normalt. Samtidig ber Capcom brukerne være på vakt mot uønskede henvendelser og e-poster som ber om ytterligere informasjon, eller meldinger som inneholder lenker og vedlegg.

Vil varsle berørte kunder trinnvis

Capcom sier at selskapet har identifisert metoden som ble brukt under innbruddet, og har innført sikkerhetstiltak for å hindre lignende hendelser. Det er imidlertid ikke offentliggjort detaljer om hvordan angriperne fikk den første tilgangen.

Berørte kunder skal varsles i flere omganger, trolig fordi svært mange kontoer er involvert. Capcom har samtidig opprettet regionspesifikke kommunikasjonskanaler for brukere som trenger hjelp.

Capcom ble også rammet av et angrep i november 2020 som ble hevdet gjennomført av ransomwaregruppen Ragnar Locker. Angriperne hevdet da å ha stjålet 1 terabyte data, og selskapet advarte senere om at opptil 390.000 personer kunne være berørt.

I april 2021 opplyste Capcom at angriperne hadde fått tilgang gjennom en gammel VPN-enhet.